网络安全标准实践指南—敏感个人信息识别指南（征求意见稿）

网络安全标准实践指南 — 敏感个人信息识别指南

概述

《网络安全标准实践指南》是由全国网络安全标准化技术委员会秘书处组织编制，旨在宣传网络安全相关标准及知识，提供标准化实践指引。此指南针对敏感个人信息的识别、处理、出境和保护进行了详细规定，主要依据《中华人民共和国个人信息保护法》、《中华人民共和国网络安全法》、《中华人民共和国数据安全法》等相关法律法规。

定义与术语

• 个人信息：以电子或其他方式记录的与已识别或可识别的自然人有关的信息。
• 敏感个人信息：一旦泄露或非法使用，可能导致自然人的人格尊严受损或人身、财产安全受到威胁的信息。
• 个人信息处理者：在个人信息处理活动中自主决定处理目的和方式的组织或个人。

敏感个人信息识别

个人信息处理者应遵循以下规则识别敏感个人信息：

1. 符合特定条件：当个人信息满足泄露或非法使用后，可能导致人格尊严受侵害、人身安全受威胁或财产安全受损害时，应识别为敏感个人信息。
2. 常见类别识别：根据指南列出的常见敏感个人信息类别进行识别。
3. 综合分析：考虑单项敏感个人信息及其与其他信息的汇聚或融合后可能产生的整体影响。

常见敏感个人信息

• 生物识别信息：如基因、人脸、声纹、步态、指纹等。
• 宗教信仰信息：与个人宗教信仰、活动相关的信息。
• 特定身份信息：可能引起社会歧视的特定身份信息。
• 医疗健康信息：涉及个人健康状况、诊疗记录等。
• 金融账户信息：包括银行、证券等账户信息。
• 行踪轨迹信息：个人地理位置、活动轨迹等。
• 不满十四周岁未成年人的个人信息。
• 其他敏感个人信息：可能对个人权益造成严重威胁的信息。

附件示例

指南提供了常见敏感个人信息的典型示例，涵盖生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等多个领域，帮助识别和保护。

参考文献

• 法律法规：《中华人民共和国个人信息保护法》、《中华人民共和国网络安全法》、《中华人民共和国数据安全法》。
• 国家标准：个人信息安全规范、数据分类分级规则、生物特征识别信息保护基本要求、人脸识别数据安全要求、声纹识别数据安全要求、步态识别数据安全要求、基因识别数据安全要求。

此指南旨在为个人信息处理者提供识别敏感个人信息的标准和方法，促进网络安全和数据保护的有效实施。